El problema: las identidades dejadas atrás
A medida que las organizaciones crecen y evolucionan, los empleados, contratistas, servicios y sistemas van y vienen, pero sus cuentas a menudo permanecen. Estas cuentas abandonadas o “huérfanas” permanecen inactivas en aplicaciones, plataformas, activos y consolas en la nube.
La razón de su persistencia no es la negligencia sino la fragmentación.
Los sistemas IAM e IGA tradicionales están diseñados principalmente para usuarios humanos y dependen de la incorporación e integración manual para cada aplicación: conectores, mapeo de esquemas, catálogos de permisos y modelos de roles. Muchas aplicaciones nunca llegan tan lejos. Mientras tanto, las identidades no humanas (NHI): cuentas de servicio, bots, API y procesos de inteligencia artificial de agentes son inherentemente no gobernados, operan fuera de los marcos estándar de IAM y, a menudo, sin controles de propiedad, visibilidad o ciclo de vida.
¿El resultado? Una capa de sombra de identidades no rastreadas que son parte de un asunto de identidad oscura más amplio: cuentas invisibles para la administración pero aún activas en la infraestructura.
Por qué no son perseguidos
- Cuellos de botella en la integración: Cada aplicación requiere una configuración única antes de que IAM pueda administrarla. Rara vez se da prioridad a los sistemas locales y no administrados.
- Visibilidad parcial: Las herramientas de IAM solo ven la parte “administrada” de la identidad, dejando atrás las cuentas de administrador local, las identidades de servicio y los sistemas heredados.
- Propiedad compleja: Debido a la rotación, las fusiones y los equipos distribuidos, no está claro a quién pertenece cada aplicación o cuenta.
- Agentes de IA y automatización: El agente AI introduce una nueva categoría de identidades semiautónomas que operan independientemente de sus operadores humanos, alterando aún más el modelo IAM.
Obtenga más información sobre las asociaciones IAM y sus implicaciones.
El verdadero riesgo
Las cuentas huérfanas son las puertas traseras abiertas de la empresa.
Tienen credenciales válidas, a menudo con privilegios elevados, pero no tienen un propietario activo. Los atacantes lo saben y lo utilizan.
- Oleoducto colonial (2021) – Los atacantes entraron por una cuenta VPN antigua/inactiva sin MFA. Varias fuentes confirman la información sobre la cuenta “inactiva/antigua”.
- Empresa fabricante afectada por el ransomware Akira (2025) – La infracción se produjo debido a una Cuenta “fantasma” de terceros que no ha sido desactivado (por ejemplo, una cuenta huérfana/de proveedor). Contribución de SOC de Barracuda Managed XDR.
- Contexto de fusiones y adquisiciones – La consolidación posterior a la adquisición a menudo descubre miles de cuentas/tokens obsoletos. Las empresas describen las identidades huérfanas (a menudo NHI) como una amenaza persistente después de fusiones y adquisiciones y señalan una tasa muy alta de tokens de ex empleados que aún están activos.
Las cuentas huérfanas plantean varios riesgos:
- Amenaza de cumplimiento: Infringe los requisitos de privilegios mínimos y de desaprovisionamiento (ISO 27001, NIS2, PCI DSS, FedRAMP).
- Ineficiencia operativa: Números de licencia excesivos y esfuerzos de prueba innecesarios.
- Retraso en la respuesta al incidente: La ciencia forense y la remediación se ralentizan cuando se trata de cuentas invisibles.
El camino a seguir: verificación continua de la identidad
Las empresas necesitan pruebas, no suposiciones. La eliminación de cuentas huérfanas requiere una observabilidad completa de la identidad: la capacidad de ver y auditar cada cuenta, permiso y actividad, ya sea administrada o no.
La mitigación moderna incluye:
- Recopilación de telemetría de identidad: extraiga señales de actividad directamente de aplicaciones administradas y no administradas.
- Seguimiento de auditoría unificado: correlacione eventos de entrada/mover/salida, registros de autenticación y datos de uso para confirmar la propiedad y la legitimidad.
- Mapeo de contexto de roles: almacene información de uso real y contexto de permisos en perfiles de identidad: muestre quién usó qué, cuándo y por qué.
- Aplicación continua: marque o desactive automáticamente cuentas sin actividad o propiedad, lo que reduce el riesgo sin esperar revisiones manuales.
Cuando estos datos de telemetría se introducen en una capa central de verificación de identidad, se cierra la brecha de visibilidad y transforma cuentas huérfanas de pasivos ocultos en entidades administradas y mensurables.
Para obtener más información, consulte el Manual de auditoría: Informes continuos de inventario de aplicaciones.
La perspectiva de las orquídeas
La función de auditoría de identidad de Orchid proporciona esta base. Al combinar la telemetría a nivel de aplicación con la recopilación de auditorías automatizadas, proporciona información continua y verificable sobre el uso real de las identidades: IA humana, no humana y de agente.
No es otro sistema IAM; Es el tejido conectivo el que garantiza que las decisiones de IAM se basen en evidencia y no en conjeturas.
Nota: Este artículo fue escrito y contribuido por Roy Katmor, director ejecutivo de Orchid Security.
About The Author
